¿Qué es un sistema de IA de alto riesgo según el Reglamento?
Un sistema de IA es de alto riesgo si su finalidad está en el anexo III (art. 6(2)) o es componente de seguridad de un producto del anexo I.
El "alto riesgo" es la categoría que concentra las obligaciones del Reglamento de IA de la UE (Reglamento (UE) 2024/1689). Pero es más estrecha de lo que muchas empresas temen: la mayoría de la IA no es de alto riesgo. Un sistema lo es solo por dos vías, definidas en el artículo 6.
Las dos vías al alto riesgo
Vía 1 — anexo III (artículo 6(2)). Un sistema es de alto riesgo si su finalidad prevista entra en uno de los ámbitos del anexo III: biometría; infraestructuras críticas; educación y formación profesional; empleo y gestión de trabajadores; acceso a servicios esenciales públicos y privados (incluida la evaluación de solvencia —salvo la detección de fraude— y la tarificación de seguros de vida y salud); aplicación de la ley; migración, asilo y control fronterizo; y administración de justicia y procesos democráticos. Son ocho ámbitos.
Vía 2 — anexo I (artículo 6(1)). Un sistema es de alto riesgo si es un componente de seguridad de un producto regulado del anexo I (por ejemplo, productos sanitarios o máquinas), o es en sí mismo ese producto. La conformidad se canaliza por la legislación sectorial.
El filtro del artículo 6(3)
No todo lo que toca un ámbito del anexo III es automáticamente de alto riesgo. El artículo 6(3) permite una excepción si el sistema no plantea un riesgo significativo de daño: realiza una tarea de procedimiento limitada; mejora el resultado de una actividad humana ya completada; detecta patrones de decisión sin sustituir ni influir en la valoración humana; o realiza una tarea preparatoria. Basta una de las cuatro condiciones. Pero si el sistema elabora perfiles de personas físicas, siempre es de alto riesgo, sin excepción. Quien invoque la excepción debe documentarla y registrar igualmente el sistema (artículo 49).
Qué obligaciones conlleva
Si un sistema es de alto riesgo, el proveedor asume la pila completa: gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11, anexo IV), registro de eventos (artículo 12), transparencia (artículo 13), supervisión humana (artículo 14), exactitud y ciberseguridad (artículo 15), evaluación de la conformidad (artículo 43), declaración de conformidad (artículo 47), marcado CE (artículo 48) y registro (artículo 49). El responsable del despliegue asume los deberes del artículo 26.
Cuándo se aplica
El alto riesgo del anexo III se aplica desde el 2 de diciembre de 2027, en virtud del Digital Omnibus, ya adoptado (Parlamento Europeo, 16 de junio de 2026; Consejo, 29 de junio de 2026; entrada en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026). Los productos del anexo I van al 2 de agosto de 2028. Planifica con el 2 de diciembre de 2027 como fecha de aplicación.
Cómo ayuda Confir
Confir clasifica cada sistema por su finalidad: lo contrasta con el artículo 5, con el anexo III y el artículo 6, y con el filtro del artículo 6(3), y registra la conclusión con su motivo citado. El motor es determinista y basado en reglas, así que la clasificación de alto riesgo es reproducible y defendible.
Preguntas frecuentes
¿Qué hace que un sistema de IA sea de alto riesgo?
Una de dos vías del artículo 6: que su finalidad prevista entre en uno de los ocho ámbitos del anexo III (artículo 6(2)), o que sea un componente de seguridad de un producto regulado del anexo I (artículo 6(1)). La mayoría de la IA no cumple ninguna de las dos y no es de alto riesgo.
¿Todo lo del anexo III es de alto riesgo?
No necesariamente. El filtro del artículo 6(3) exime a los sistemas que no plantean un riesgo significativo —tarea de procedimiento limitada, mejora de una actividad humana ya hecha, detección de patrones sin influir en la valoración humana, o tarea preparatoria— y basta una condición. Pero la elaboración de perfiles de personas siempre es de alto riesgo.
¿Qué ámbitos cubre el anexo III?
Ocho: biometría; infraestructuras críticas; educación; empleo y gestión de trabajadores; acceso a servicios esenciales (incluida solvencia y seguros de vida/salud); aplicación de la ley; migración, asilo y fronteras; y justicia y procesos democráticos.
¿Qué obligaciones conlleva el alto riesgo?
La pila del proveedor (artículos 9 a 15, 43, 47, 48 y 49) y los deberes del responsable del despliegue (artículo 26), incluida la supervisión humana y la conservación de registros. Para despliegues públicos y de solvencia o seguros, se añade la evaluación de impacto en derechos fundamentales (artículo 27).
¿Cuándo se aplica?
El alto riesgo del anexo III se aplica desde el 2 de diciembre de 2027, la fecha fijada por el Ómnibus Digital, ya adoptado. Planifica con esa fecha.
Guías relacionadas
- Obligaciones del Reglamento de IA para PYMEs
- Calendario de plazos del Reglamento de IA
- Alfabetización en IA (artículo 4)
- El Reglamento de IA en España
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →